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ABSTRACT OF EP 0 689 170 

A value changing mode is set up in the franking machine (12). In a first transaction between 
the franking machine and data centre (18) contg. The exchange of code numbers a 
specification value entered into the franking machine is passed to the data centre and stored 
in specification value memories (28,45) in the franking machine and in the data centre. A 
recharging mode is then set up. In a second transaction involving an exchange of code 
numbers between the franking machine and data centre the stored specification values are 
added to the values stored in a balance memory (26) in the franking machine and a 
deduction memory (46) in the data centre. 



USE/ADVANTAGE - For convenient data matching between a franking machine and its 
associated data centre, enabling convenient recharging of the franking machine. 
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(g) Verfahren zum Abstimmen des Datenbestandes zwischen einer elektronischen Frankienmaschine 
und efnem Datenzentruim 



(57) Das Abstimmen des Datenbestandes in der einen Guthabenspeicher (26) fur ein Portoguthaben 
umfassenden Datenverarbeitungseinrichtung (22) einer elektronischen Frankiermaschine (12) und der 
einen Abrechnungsspeicher (46) fur die Frankiermaschine umfassenden Abrechnungseinrichtung (42) 
eines Datenzentrums (18), erfolgt in der Weise, daR an der Frankiermaschine (12) ein Wertanderungs- 
modus eingestellt wird, daft in einer ersten den Austausch von Codezahlen umfassenden Transaktion 
zwischen der Frankiermaschine (12) und dem Datenzentrum (18) ein in die Frankiermaschine (12) 
eingegebener Vorgabewert an das Datenzentrum (18) ubermittelt und in einem jeweiligen Vorgabewert- 
speicher (28; 45) der Frankiermaschine (12) und des Datenzentrums (18) gespeichert wird, daB ein 
Nachlademodus eingestellt wird und dafc in einer zweiten den Austausch von Codezahlen zwischen der 
Frankiermaschine (12) und dem Datenzentrum (18) umfassenden Transaktion der im jeweiligen 
Vorgabewertspeicher (28) gespeicherte Vorgabewert zu dem im Guthabenspeicher (26) der Frankierma- 
schine (12) und dem im Abrechnungsspeicher (46) des Datenzentrums gespeicherten Wert addiert wird. 
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Die Erf induing betrifft ein Verfahren zum Abstimmen des Datenbestandes in der einen Guthabenspeicher 
fur ein Portoguthaben umfassenden Datenverarbeitungseinrichtung einer elektronischen Frankiermaschine 
und der einen Abrechnungsspeicherfur die Frankiermaschine umfassenden Abrechnungseinhert eines Daten- 
zentrums sowie eine zur Durchf uhrung des vorstehend genannten Verfahrens geeignete Frankiermaschine. 

5 Fruher muBten Frankiermaschinen nach Verbrauch des in der Frankiermaschine gespeicherten Portogut- 

habens zum Postamtgebracht werden, wo ein Postbeamterden Guthabenspeicher gegen Entrichtung derent- 
sprechenden Gebuhren wieder auffullen konnte. Um dem Benutzer der Frankiermaschine diesen Gang zum 
Postamt zu ersparen, ist es ferner seit I an gem bekannt, uber eine sogenannte Fernwertvorgabe durch Daten- 
austausch zwischen einer die Frankiermaschine umfassenden Benutzerstation und einem Datenzentrum das 

10 Guthaben in der Frankiermaschine wieder aufzuladen. Dabei mud sichergestellt sein, da& der in der Frankier- 
maschine nachgeladene Betrag auch im Datenzentrum erfa&t wird, so da& er dem Benutzer der Frankierma- 
schine berechnet werden kann. Es muB zuverlassig verhindert werden, daft der Benutzer das Portoguthaben 
in seiner Frankiermaschine unbemerkt vom Datenzentrum auff Gilt Oder da& der in die Frankiermaschine ein- 
gegebene Nachladebetrag von dem dem Datenzentrum ubermittelten Betrag verschieden ist 

15 Aus der US- A- 3 792 446 ist ein Fernwertvorgabeverfahren bekannt, bei dem der Datenaustausch zwi- 

schen der Benutzerstation und dem Datenzentrum die Ubermittlung einer Schlusselzahl von dem Datenzen- 
trum an die Benutzerstation beinhaltet Mit dieser Schlusselzahl kann der Benutzer ein Schlofc an der Fran- 
kiermaschine fur einen einmaligen Nachladevorgang mit einem fest vorgegebenen Nachladebetrag entsper- 
ren. Da der Nachladebetrag oder Vorgabebetrag fest vorgegeben ist und nichtgeandert werden kann, genugt 

20 es fur eine Abrechnung, im Datenzentrum die Anzahl der Nachladevorgange zu erfassen. 

Aus den verschiedensten Grunden kann es fur den Benutzer der Frankiermaschine vorteilhaft sein, wenn 
er die Hone des Nachladebetrages zumindest in gewissen Grenzen von Fall zu Fall selber bestimmen kann. 
Hierzu wurde in der DE-C-28 20 658 bereits ein Fernwertvorgabeverfahren mit einem variablen Nachladebe- 
trag vorgeschlagen. Die Obereinstimmung des in der Frankiermaschine zu dem Restguthaben hinzuaddierten 

25 Nachladebetrags mit dem im Datenzentrum abgerechneten Nachladebetrag wird dabei dadurch sichergestellt, 
dad der frei wahlbare Nachladebetrag in die in der Frankiermaschine und dem Datenzentrum unabhangig von- 
einander ablaufende Berechnung von Kombinationskennwerten eingeht Eine Verif izierung des von dem Da- 
tenzentrum an die Frankiermaschine ubermittelten und den variablen Guthabenwert beinhaltenden Kom bi na- 
tion skenn we rtes in der Frankiermaschine ist nur dann moglich, wenn sowohl die Frankiermaschine als auch 

30 das Datenzentrum mit demselben Nachladebetrag gerechnet haben. Dieser Nachladebetrag wird bei erfolg- 
reicher Verif izierung des ubermittelten Kombinationswerts in der Frankiermaschine seibsttatig zu dem Rest- 
guthaben im Guthabenspeicher der Frankiermaschine addiert, ohne daft ein weiterer Eingriff in die Nachla- 
deprozedur seitens des Benutzers moglich ist. 

Der Erf indung liegt die Aufgabe zugrunde, ein Verfahren der eingangs genannten Art anzugeben, mit dem 

35 auf eine fur den Benutzer bequeme und noch sicherere Weise eine Abstimmung von Daten zwischen einer 
Frankiermaschine und einem ihr zugeordneten Datenzentrum erfolgen kann, die das Nachladen der Frankier- 
maschine auf bequeme Weise ermdglicht. 

Diese Aufgabe wird erf indungsgemafc dadurch gelost, daft an der Frankiermaschine ein Wertanderungs- 
modus eingestellt wird, dad in einer ersten den Austausch von Codezahlen umfassenden Transaktion zwischen 

40 der Frankiermaschine und dem Datenzentrum ein in die Frankiermaschine eingegebener Vorgabewert an das 
Datenzentrum ubenmittelt und in einem jeweiligen Vorgabewertspeicher der Frankiermaschine und des Da- 
tenzentrums gespeichert wird, daB ein Nachlademodus eingestellt wird und dad in einer zweiten den Aus- 
tausch von Codezahlen zwischen der Frankiermaschine und dem Datenzentrum umfassenden Transaktion der 
im jeweiligen Vorgabewertspeicher gespeicherte Vorgabewert zu dem im Guthabenspeicher der Frankierma- 

45 schine und dem im Abrechnungsspeicher des Datenzentrums gespeicherten Wert addiert wird. 

Die erf indungsgema&e Auf teilung des Verfahrens zum Abstimmen der Abrechnungsdaten in der Frankier- 
maschine und dem Datenzentrum in zwei in sich abgeschlossene Transaktionen hat eine Reihe von Vorteilen. 
Zum ersten kann die erste Transaktion entfallen, wenn der Vorgabewert nichtgeandert werden soil. In diesem 
Falle wird das Portoguthaben mit dem im Vorgabewertspeicher gespeicherten Wert wieder aufgef ullt. Dies er- 

so gibt ein vereinfachtes Verfahren fur den Fall, dad der Benutzer den Vorgabewert gar nicht andern will. Wunscht 
der Benutzer jedoch eine Anderung des Vorgabewertes, so kann dieser Wert getrennt von dem Nachladevor- 
gang geandert werden. Dies bietet einerseits die Moglichkeit, zunachst die Anderung des Vorgabewertes ab- 
zuschlie&en und zu uberprufen. Dies erhoht die Sicherheit, da& das Portoguthaben auch tatsachlich mit dem 
gewunschten Nachladebetrag aufgef ullt wird. Zum anderen bestehtdie Moglichkeit, eine Benutzerhierarchie 

55 fur das Andern des Vorgabewertes und das Nachladen aufzubauen. Beispielsweise kann vorgesehen sein, 
daR die Angestellten in der Poststelle eines Unternehmens zwar das Fernwertvorgabeverfahren mit einem be- 
stimmten Vorgabebetrag durchf uhren durfen, daR dieser Vorgabebetrag aber nur von bestimmten Personen 
im Unternehmen geandert werden darf. Dies kann z.B. dadurch sichergestellt werden, daR sich die zur Ande- 
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rung des Vorgabewertes berechtigte Person durch eine nurihrbekannte Identitatsnummer oder eingeeignetes 
Pafcwort ausweisen muB, das fur die Anderung des Vorgabewertes in die Frankiermaschine eingegeben wer- 
den mufi. Dieser Identifikationsschritt kann dabei dem eigentlichen Wertanderungsverfahren vogeschaltet 
werden, indem z.B. der Wertanderungsmodus erst nach dem Identif izierunsgschritt eingele'rtet werden kann. 

5 Er kann aber auch in das Wertanderungsverfahren eingbeaut werden. 

Die erste Transaktion kann beispielsweise so ablaufen, daa eine die Frankiermaschine kennzeichnende 
Identitatsnummer in die Frankiermaschine eingegeben wird und daB wahrend der ersten Transaktion in der 
Frankiermaschine unter Verwendung der Identitatsnummer, des eingegebenen Vorgabewertes und einer Zu- 
satzinformation mittels eines Schlussels eine erste Codezahl gebildet wird, die Identitatsnummer, der ge- 

10 wunschte Vorgabewert und die Zusatzinformation zusammen mit der ersten Codezahl an das Datenzentrum 
ubermittelt werden, die erste Codezahl im Datenzentrum verif iziert und der gewunschte Vorgabewert im Vor- 
gabespeicheir des Datenzentrums gespeichert wird, im Datenzentrum unter Verwendung der Identitatsnum- 
mer und der Zusatzinformation mittels eines Schlussels eine zweite Codezahl gebildet und an die Frankier- 
maschine ubermittelt wird und die zweite Codezahl in der Frankiermaschine verif iziert wird, worauf bei erfolg- 

1$ reicher Verifizierung der zweiten Codezahl der gewunschte Vorgabewert in dem Vorgabewertspeicher der 
Frankiermaschine gespeichert wird. Das Verfahren kann nach der ersten Transaktion beendet und die Fran- 
kiermaschine in den Frankiermodus uberfuhrt werden. Das Verfahren kann aber auch fortgesetzt werden, wo- 
bei wahrend der zweiten Transaktion in der Frankiermaschine unter Verwendung der Identitatsnummer und 
einer Zusatzinformation mittels eines Schlussels eine dritte Codezahl gebildet und an das Datenzentrum uber- 

20 mittelt wird, die dritte Codezahl im Datenzentrum verif iziert und bei erfolgreicher Verifizierung der im Vorga- 
bewertspeicher des Datenzentrums gespeicherte Vorgabewert zu dem im Abrechnungsspeicher des Daten- 
zentrums gespeicherten Wert addiert wird, im Datenzentrum unter Verwendung der Identitatsnummer und der 
Zusatzinformation mittels eines Schlussels eine vierte Codezahl gebildet und an die Frankiermaschine uber- 
mittelt wird, und die vierte Codezahl in der Frankiermaschine verif iziert wird, worauf nach erfolgreicher Veri- 

25 fizierung der in dem Vorgabewertspeicher der Frankiermaschine gespeicherte Vorgabewert zu dem im Gut- 
habenspeicher der Frankiermaschine gespeicherten Wert addiert wird. Die zweite Transaktion beinhaltet also 
das eigentliche Nachladeverfahren, das mit einem in der Frankiermaschine fest abgespeicherten Vorgabewert 
erfolgt Diese zweite Transaktion kann auch jederzeit fur sich ohne Anderung des Vorgabewertes ausgefuhrt 
werden. 

30 Die Sicherheit gegen Manipulationen wird durch die Geheimhaltung der verwendeten Schlussel sicher- 

gestellt Zur Verschlusselung kann jedes bekannte Verschlusselungsverfahren verwendet werden, beispiels- 
weise das DES-Verfahren. Urn die Sicherheit zu erhohen, ist es zweckma&ig, wenn ein zur Ermittlung der Co- 
dezahlen verwendeter Schlussel nach jeder abgeschlossenen Transaktion geandert wird. Dabei wird zweck- 
mafcigerweise wahrend jeder Transaktion die in der Frankiermaschine gebildete Codezahl mittels eines nach 

35 Abschluft der vorhergehenden Transaktion vorhandenen Schlussels berechnet. Die im Datenzentrum gebil- 
dete Codezahl wird mittels des gleichen Schlussels berechnet. Der neue Schlussel wird der Frankiermaschine 
als Teil der vom Datenzentrum ubermittelten Codezahl mitgeteilt und nach Verifizierung dieser Codezahlen 
in der Frankiermaschine fur die nachste Transaktion gespeichert. Gleichzeitig wird der neue Schlussel auch 
im Datenzentrum fur die nachste Transaktion gespeichert 

40 Fur den Fall, in dem eine von der Frankiermaschine an das Datenzentrum ubermittelte Codezahl im Da- 

tenzentrum nicht verif iziert werden kann, hat das Datenzentrum die Moglichkeit, die Verif izierung mittels des 
vor der letzten Schlusselanderung verwendeten Schlussels zu wiederholen. Kann die Codezahl mit diesem 
Schlussel verif iziert werden, ist dies ein Zeichen daf Or, daB die vorhergehende Transaktion in der Frankier- 
maschine nicht oder nicht vollstandig ausgefuhrt wurde. Dies gibt somit die Moglichkeit, in der Frankiermaschi- 

45 ne nicht oder nicht vollstandig abgeschlossene Transaktionen, die dazu fuhren, daB die Datenbestande in der 
Frankiermaschine und dem Datenzentrum nicht mehr kongruent sind, zu stornieren, zu wiederholen oder zu 
J korrigieren. 

Der Datenaustausch zwischen der Frankiermaschine und dem Datenzentrum kann sowohl uber Modem 
(im weiteren als Modem Verfahren bezeichnet) als auch uber eine fernmundliche Kommunikation zwischen 

so dem Benutzer der Frankiermaschine und einer Bedienungsperson im Datenzentrum (im weiteren als Voice- 
Verfahren bezeichnet) erfolgen. 

In jedem Falle wird die das Datenzentrum zu ubermittelnde Information (Registerwerte, Portoaufrufnunv 
mer oder personliche Identifizieruhgsnummer eta) in der Frankiermaschine mittels einer erster Funktion ver- 
schlusselL Hierbei kommt ein gebrauchliches Verschlusselungsverfahren, vorzugsweise der Data-Encryption- 

55 Standard (DES) zum Einsatz. Nach der Bildung einer verschlusselten Meldung oder Kryptomeldung mittels 
des DES-Algorithmus wird beim Voice- Verfahren mittels einer zweiten geheimen Funktion eine Code-Zahl ge- 
bildet Die Ausfuhrung der geheimen ersten Funktion erfordert eine als Schlussel bezeichnete Geheimnummer 
und eine Programmsequenz (Verschlusselungs-Code), welche mittels des Schlussels eine Information ver- 
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schlusseln bzw. entschlusseln kann. Die Ausf uhrung der zweiten geheimen Funktion benotigt hingegen keinen 
Schlussel. 

Der Datenaustausch erfolgt nun beim Voice-Verfahren mittels der Code-Zahlen in der bereits oben erlau- 
terten Weise. Durch die Bildung der Code-Zahlen ist es mogltch, die Anzahl der zu ubermittelnden Ziffern im 
5 Vergleich zur zunachst gebildeten Krypto-Meldung zu reduzieren. Dies ist zweckmaBig, um die Obermittlung 
der Informationen zwischen dem Benutzer der Frankiermaschine und der Bedienungsperson im Datenzentrum 
zu vereinfachen. 

Im Gegensatz dazu erfolgt der Datenaustausch beim ModemVerfahren mittels der Krypto-Meldungen 
analog zu der oben beschriebenen Verfahrensweise. Da der Datenaustausch beim Modem-Verfahren auto- 
10 matisch erfolgt, konnen im Vergleich zum Voice-Verfahren wesentlich langere verse hi usselte Meldungen feh- 
lerf rei ausgetauscht werden. Die Bildung von Code-Zahlen kann daher beim Modem-Verfahren unterbteiben. 

Dennoch sind beide Verfahren bezuglich des gemeinsamen Datenzentrums kompatibel. Dies ist insbe- 
sondere dann wesentlich, wenn die Bedienungsperson im Datenzentrum durch eine automatische Einrichtung 
ersetzt wird. 

15 Die Erf indung betrifft ferner eine elektronische Frankiermaschine zur Durchf uhrung des vorstehend be- 

schriebenen Verfahrens, umfassend eine elektronische Datenverarbeitungseinrichtung mit einem Guthaben- 
speicher zum Speichern eines Portoguthabens und einem Vorgabewertspeicher zur Speicherung eines Vor- 
gabewertes, um den das Portoguthaben verandert werden kann, und mit der Datenverarbeitungseinrichtung 
verbunden eine Druckeinrichtung zum Drucken von Portowerten, eine Datenanzeigeeinrichtung, eine Einga- 

20 beeinrichtung zur Eingabe von auszudruckenden Portowerten und eine Einrichtung zum Einstellen eines Gut- 
habennachlademodus, in dem nach Eingabe und Verif izierung einer Nachlade-Schlusselzahl der im Vorgabe- 
wertspeicher gespeicherte Vorgabewert zu dem Portoguthaben addiert wird. Eine Frankiermaschine dieser 
Art umfafct erf indungsgemaB ferner eine Einrichtung zur Einstellung eines Wertanderungsmodus, in dem nach 
Eingabe und Verif izierung einer Wertanderungsschlussejzahl der Vorgabewert im Vorgabewertspeicher durch 

25 einen in die Frankiermaschine eingegebenen geanderten Vorgabewert ersetzbar ist 

Die erfindungsgema&e elektronische Frankiermaschine gibt die Moglichkeit, die Anderung des Vorgabe- 
wertes und den Nachladevorgang getrennt voneinander zu behandeln mit den oben geschilderten Vorteilen. 

Der Wertanderungsmodus kann beispielsweise durch Eingabe einer die Frankiermaschine kennzeichnen- 
den Identitatsnummer und die Betatigung einer ersten Sondertaste einstellbar sein. Fur die Umstellung der 

30 Frankiermaschine aus dem Wertanderungsmodus in den Frankiermodus kann eine zweite Sondertaste vor- 
gesehen sein. Ein sich nach AbschluR der Wertanderung oder ohne Wertanderung, d.h. ohne Ausf uhrung der 
ersten Transaktion unmittelbar an die Einstellung des Wertanderungsmodus anschliedender Nachladevor- 
gang wird vorzugsweise durch nochmalige Betatigung der ersten Sondertasten eingeleitet. 

ErfindungsgemaR kann die Moglichkeit vorgesehen sein, durch Betatigung mindestens einer an der Fran- 

35 kiermaschine vorgesehenen Wahltaste nach Eingabe der Identities- oder Portoauf rufnummer die Art des Kom- 
munikationsverfahrens zwischen der Frankiermaschine und der Datenzentrale auszuwahlen, d.h. die Wahl zu 
treffen, ob der Wertanderungs- und/oder Nachladevorgang im Voice-Verfahren oder im Modem-Verfahren 
ausgefuhrt werden soil. 

Hierzu sind zwei Alternativen denkbar. Gemaft einer ersten Variante wird nach der Eingabe der Portoauf- 
40 rufnummer oder Identitatsnummer eine Wahl- oder Sondertaste gedruckt, um in ein Auswahlmenu zu gelan- 
gen, das dem Benutzer der Frankiermaschine in dem Anzeigefeld derselben angezeigt wird. Durch Betatigen 
eines vorbesti mm ten Betatigungselementes, beispielsweise einer geeigneten numerischen Taste wechselt die 
Anzeige und zeigt den derzeit gultigen Vorgabewert an, der dann bestatigt oder verandert werden kann. 
GemaR einer weiteren Variante sind zwei Wahl- oder Sondertasten vorgesehen, durch deren Betatigung 
45 direkt das Voice-Verfahren oder das Modem-Verfahren ausgewahlt werden kann. 

Die Erf indung betrifft ferner ein Verfahren zum gesicherten Speichern von vera nderiichen Daten, insbe- 
sondere den Daten, die sich wahrend einer Fernwertvorgabe andern korinen. 

Ein Spannungsausfall kann dazufuhren, daR ein Datensatz in einem Speicherfehlerhaftgespeichertwird. 
Zum Betreiben einer Datenverarbeitungsanlage ist es daher bereits bekannt, einen zweiten Speicher fur einen 
so identischen Datensatz und einen Zustandspeicher fur eine Zustandskennung vorzusehen, wobei letztere an- 
zeigt, ob der Datensatz aus dem ersten oder dem zweiten Speicher ausgelesen werden soil, wenn die Span- 
nung wiederkehrt. 

Fehler in der Zustandskennung konnen durch redundantes Abspeichern der Zustandskennung unwirksam 
gemacht werden. Die haufigste Zustandskennung bei einer Majoritatsprufung muft aber nicht immer die rich- 
55 tige Zustandskennung sein. Es ist lediglich am wahrscheinlichsten, daft die haufigste Zustandskennung auch 
die richtige ist. Auch eine zusatzliche Plausibilitatspruf ung uberpruft nur die Zugehdrigkeit zu einem gultigen 
Wertebereich, liefert aber keine eindeutige Aussage, ob die Zustandskennung richtig ist oder nicht. Mit dem 
vorstehend beschriebenen Verfahren wird also ein Fehler nicht erkannt, der am haufigsten gespeichert ist und 
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dabei im gultigen Wertebereich liegt. 

Es ist eine weitere Aufgabe der Erfindung, die Sicherheit beim redundanten Abspeichem mit einfachen 
Mitteln zu erh5hen und ggf. auftretende Fehler zu beseitigen. 

Zur Losung dieser Aufgabe wird vorgeschiagen, daB mittels eines Zeigers ein erster Datensatz als aktu- 
5 eller unveranderlicher Datensatz bestimmt wird, dessen Daten fur eine Abfrage zur Verf ugung stehen, da& 
bei einer Anderung von Daten diese Anderung in dem nicht aktueilen zweiten Datensatz erfolgt, daB anschlie- 
Bend mittels des Zeigers derzweite Datensatz zum aktueilen Datensatz bestimmt wird und dad die Daten aus 
dem aktueilen zweiten Datensatz in den nicht aktueilen ersten Datensatz kopiert werden. 

Diese vorstehend beschriebenen Verfahrensschritte werden sowohl beim Initialisieren des Speichers, d.h. 
10 beim Einspeichern der Anfangsdaten als auch im laufenden Betrieb ausgefuhrt. Der aktuelle Datensatz ist 
stets unveranderlich. Seine Daten sind auch bei einem Spannungsausfall nicht gefahrdet, da ein Spannungs- 
ausfall in der Regel nur zu Fehlern in laufenden Schreibvorgangen f Qhren kann. Das erf indungsgema&e Ver- 
fahren arbeitet unabhangig von der Detektion eines Spannungsausfalles wahrend des Speichervorganges. Ein 
wesentlicher Schritt des erf indungsgematten Verfahrens liegt darin, die Konsistenz der gespeicherten Daten 
15 sowie die Gleichheit der in den beiden Datensatzen gespeicherten Daten zu uberprufen und ggf. wieder her- 
zustellen, wie dies weiter unten noch genauer beschrieben wird. 

Weitere Merkmale und Vorteile der Erfindung ergeben sich aus den weiteren Unteranspruchen und der 
folgenden Beschreibung, welche in Verbindung mit den beigefugten Zeichnungen die Erfindung anhand eines 
Ausfuhrungsbeispieles erlautert Es zeigen: 
20 Fig. 1 eine schematische Darstellung einer Frankiermaschine und eines Datenzentrums, 

Fig. 2a und 2b eine schematische Darstellung eines Fernwertvorgabeverfahrens mit Anderung eines 

Vorgabewertes fur das Voice-Verfahren, 
Fig. 3a und 3b eine schematische Darstellung eines Fernwertvorgabeverfahrens mit Anderung eines 
Vorgabewertes im Modem-Verfahren, 
25 Fig. 4 die Auf teilung eines Speichers fur die gesicherte Speicherung von Daten in Form zweier 

Datensatze, 

Fig. 5 ein FluBdiagramm zur Erlauterung der Initial is ierung der Daten in den beiden Datensat- 

zen, 

Fig. 6 ein Flu&diagramm zur Erlauterung der Speicherung von Daten im laufenden Betrieb und 

30 Fig. 7 ein Flu&diagramm zur Erlauterung der Pruf ung und Korrektur von Daten in den beiden 

Datensatzen. 

In Figur 1 ist mit 10 eine Benutzerstation bezeichnet, die eine Frankiermaschine 12 und eine Telefon 14 
umfaftt Dieses Telefon Oder Kommunikationsendgerat, wie z.B. ein Modem, steht uber eine Telefonleitung 15 
in Verbindung mit einem Telefon Oder Kommunikationsendgerat 1 6 in einem Datenzentrum 1 8, das ferner eine 
35 Abrechnungseinrichtung 20 enthalt 

Die Frankiermaschine 12 umfaBteine allgemein mit 22 bezeichnete Datenverarbeitungseinrichtung mit ei- 
ner CPU 24, einem Guthabenspeicher 26, einem Vorgabewertspeicher28 und einer kryptograf ischen Einrich- 
tung 30, die einen Schlusselspeicher 12 beinhaltet Die Datenverarbeitungseinrichtung 22 umfafit selbstver- 
standlich noch weitere Teile, Speicher und Register, die hier jedoch nicht dargestellt sind, da sie fur die Be- 
40 schreibung des erf indungsgemaften Verfahrens nicht benStigt werden. In einer vorteilhaf ten Variante konnen 
statt der separaten Einrichtung 30 Software-Mittel bzw. Programmspeichermittel der CPU 24 in Verbindung 
mit dem nicht fluchtigen Schlusselspeicher 32 eingesetzt werden, urn die Verschlusselung auszufuhren. Im 
Falle eines automatischen Datenaustausches (Modem-Verfahren) ist die Datenverarbeitungseinrichtung 22 
uber eine Leitung 23 mit dem Kommunikationsendgerat Modem 14 verbunden, welches dann das Telefon 14 
45 ersetzt Mit der Datenverarbeitungseinrichtung 22 verbunden ist ferner eine Eingabeeinrichtung 34, beispiels- 
weise eine Tasjatur, eine Anzeigeeinrichtung 36 und eine Druckeinrichtung 38. 

Die Abrechnungseinrichtung 20 im Datenzentrum 18 umfaRt eine Eingabeeinrichtung 40 sowie eine Da- 
tenverarbeitungseinrichtung 42 mit einer CPU 44, einem Vorgabewertspeicher 45, einem Abrechnungsspei- 
cher 46 und einer kryptograf ischen Einrichtung 48 mit einem Schlusselspeicher 50. Auch hier kann die Ver- 
so schlusselung statt in der Einrichtung 48 in Verbindung mit der CPU 44 und dem nicht fluchtigen Schlussel- 
speicher mittels Software erfolgen. Fur das Modem-Verfahren ist die Datenverarbeitungseinrichtung 42 uber 
eine Leitung 51 mit dem Modem verbunden, welches in diesem Falle das Telefon 16 ersetzt. 

Beim Voice-Verfahren erfolgt der Datenaustausch zwischen der Benutzerstation 10 und dem Datenzen- 
trum 18 uber die Telefone 14 und 16 und zwar vorzugsweise durch fernmundlichen Austausch zwischen dem 
55 Benutzer der Frankiermaschine 12 und einem Operator im Datenzentrum 18. Die mit dem Ablauf des Fern- 
wertvorgabeverfahrens in der Frankiermaschine und dem Datenzentrum verbundenen wesentlichen Vorgan- 
ge sollen nun anhand der Figuren 2a und 2b erlautert werden, die links die Vorgange in der Benutzerstation 
Oder Frankiermaschine (FM) und rechts die Vorgange im Datenzentrum (DZ) zeigen. 
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Das in Figur 2 dargestellte Wertanderungs- und Fernwertvorgabeverfahren beginnt dadurch, da& man in 
die Eingabeeinrichtung 34 der Frankiermaschine 12 eine Identitatsnummer (PAN) eingibt (S1), die durch eine 
. Sondertaste 52 (Fig. 1) bestatigt wird. In der Anzeige erscheint der im Vorgabwertspeicher 28 gespeicherte 
Vorgabewert. Fur den Fall, daft dieser Wert geandert werden soli, verzweigt das Programm der Datenverar- 

5 beitungseinrichtung die der Transaktion "Wertanderung" entsprechenden Routine (S2). Anschlie&end wird der 
gewunschte Vorgabewert mittels der Eingabeeinrichtung 34 in die Date nverarbeitungseinricht ung eingegeben 
und durch Betatigung der Sondertaste 52 bestatigt 

Der Benutzer ruft nun den Operator im Datenzentrum 1 8 an (S4) und teilt ihm die Identitatsnummer (PAN) 
mit Der Operator gibt die fdentitatsnummer in die Eingabeeinrichtung 40 der Abrechnungseinrichtung 20 ein, 

10 um den Anrufer und die Frankiermaschine 12 der Benutzerstation 1 0 zu identif izieren. Die Pruf ung der Iden- 
titatsnummer ist bei S6 dargestellt. 1st die Gberprufung negativ, wird das Verfahren abgebrochen und gege- 
benenfalls wiederholt LaSt sich die Frankiermaschine dagegen identif izieren, wird das Verfahren fortgesetzt. 
Dabei werden dem Operator der Vorgabewunsch des Benutzers sowie gegebenenfalls weitere Informationen 
uber die Frankiermaschine, insbesondere Werte in den Abrechnungsregistern mitgeteilt. 

15 In der Frankiermaschine wird zur Fortsetzung des Verfahrens aus der Identitatsnummer, dem Vorgabe- 

wunsch und einer Zusatzinformation, beispielsweise einem weiteren Registerwert mitteis eines Schlussels K1 
eine erste Codezahl berechnet (S7), die in der Anzeigeeinrichtung 36 der Frankiermaschine 1 2 angezeigt und 
von dem Benutzer dem Operator im Datenzentrum 18 ubermittelt wird. Bei Schritt S8 wird diese Codezahl in 
dem Datenzentrum 18 Gberpruft mit Hilfe des im Datenzentrum gespeicherten Schlussels K1. Bei negativem 

20 Prufungsergebnis wird die Pruf ung mit dem bei der vorhergehenden Transaktion verwendeten Schlussei wie- 
derholt. Gelingt die Verif izierung jetzt, bedeutet das, daft die vorhergehende Transaktion in der Frankierma- 
schine nicht oder nicht vollstandig und korrekt ausgef uhrt wurde. Die vorhergehende Transaktion wird daher 
storniert und das Verfahren fortgesetzt. Kann die Codezahl auch mit dem vorhergehenden Schlussei nicht ve- 
rif iziert werden, wird das Verfahren abgebrochen. LaQt sich dagegen die erste Codezahl erfolgreich verif izie- 

25 * ren, wird der Vorgabewert im Speicher45 des Datenzentrums gespeichert und die Datenverarbeitungseinrich- 
tung 42 im Datenzentrum 18 berechnet eine zweite Codezahl aus der Identitatsnummer, der Zusatzinformation 
und dem Schlussei K1. Ferner wird ein zweiter Schlussei K2 (S9) berechnet. Diese zweite Codezahl, in die 
der neue Schlussei K2 integriert ist, wird dem Benutzer mitgeteilt, dersie in die Eingabeeinrichtung 34 der Fran- 
kiermaschine eingibt Die kryptrographische Vorrichtung 30 in der Frankiermaschine verf iziert die zweite Co- 

30 dezahl, extrahiert aus der ubermittelten zweiten Codezahl den Schlussei K2 und spei chert ihn an Stelle des 
Schlussels K1 . Bei negativem Ergebnis wird das Verfahren abgebrochen, bei positivem Ergebnis wird der ein- 
gegebene Vorgabewunsch im Vorgabewertspeicher 28 gespeichert, wobei der fruhere Vorgabewert geloscht 
wird(S11). 

Damit ist die erste Transaktion beendet und der Vorgabewert geandert. Der Benutzer hat nun die Mdg- 

35 lichkeit, das Verfahren zu beenden und durch Betatigung einer weiteren Sondertaste 54 die Frankiermaschine 
12 in den Frankiermodus zuruckzustellen oder durch nochmalige Betatigung der erst en Sondertaste 52 den 
Nachtadevorgang einzuleiten (S12). Geschieht letzteres, wird in der Frankiermaschine unter Verwendung der 
Identitatsnummer und der Zusatzinformation mittels des abgespeicherten Schlussels K2 eine dritte Codezahl 
berechnet, die dem Datenzentrum mitgeteilt wird (S13). Im Datenzentrum wird die dritte Codezahl verif iziert 

40 (S14). Bei negativem Ergebnis wird das Verfahren abgebrochen, bei positivem Ergebnis berechnet das Da- 
tenzentrum aus der Identitatsnummer, der Zusatzinformation und dem Schlussei K2 eine vierte Codezahl 
(S15), die der Frankiermaschine zusammen mit einem neuen Schlussei K3 ubermittelt wird. In der Frankier- 
maschine wird wie bei der ersten Transaktion die vierte Codezahl verif iziert (S16) und der neue Schlussei K3 
aus der vierten Codezahl extrahiert und gespeichert, wie dies bei der ersten Transaktion mit dem Schlussei 

45 K2 erfolgte. Im Datenzentrum werden jeweils der alte und der neue Schlussei gespeichert. Bei negativem Er- 
gebnis wird das Verfahren abgebrochen. Bei positivem Ergebnis wird der im Vorgabewertspeicher 28 der Fran- 
kiermaschine gespeicherte Wert zum Restguthaben im Guthabenspeicher 26 der Frankiermaschine und der 
im Vorgabewertspeicher 45 der Abrechnungseinrichtung 20 gespeicherte Wert zu dem Restguthaben im Ab- 
rechnungsspeicher 46 des Datenzentrums 18 addiert (S17). Damit ist auch die zweite Transaktion, das heifit 

so die Fernwertvorgabe mit geandertem Vorgabewert abgeschlossen. Die Frankiermaschine kehrt selbsttatig in 
den Frankiermodus zuruck. 

Wenn eine Anderung des Vorgabewertes nicht gewunscht ist, wird durch Betatigung der Sondertaste 52 
oder auch einer wahlweise vorgesehenen dritten Sondertaste der im Vorgabewertspeicher 28 gespeicherte 
Vorgabewert bestatigt und das Verfahren geht von Schritt S2 unmittelbar zu Schritt 4* in Fig. 2b. Der Benutzer 

55 ruft das Datenzentrum an und teilt dem Operator die Identitatsnummer (PAN) und gegebenenfalls weitere In- 
formationen mit(SS'). Ist die Identitatsnummer richtig (S6'), iauftdas Fernwertvorgabeverfahren dann entspre- 
chend der vorstehenden Beschreibung von Schritt S13 bis Schritt S17 durch. 

Es versteht sich, daB der Operator weitere Daten uber die Frankiermaschine, insbesondere weitere Re- 
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gisterstande abfragen kann, um die Korrektheit aller Abrechnungsdaten in der Frankiermaschine und dem Da- 
tenzentrum zu Gberprufen. Es ist auch moglich, weitere Informationen und weitere Teiischlussel in die Berech- 
nung der Codezahl einzubeziehen, wenn dies zur Erhohung der Sicherheit sinnvoll erscheint Wenn im Da- 
tenzentrum im Schritt S14 eine von der Frankiermaschine ubermittelte Codezahl uberpruft wird, und das Er- 

5 gebnis negativ ist, wird stets mit dem in der Frankiermaschine bei der unmittelbar vorhergegangenen Trans- 
aktion verwendeten Schlussel die Prufung nochmals wiederholt Damit wird ein Fall erfa&t werden, in dem eine 
Transaktion in der Frankiermaschine nicht korrekt abgeschlossen wurde, ohne dali das Datenzentrum hiervon 
Kenntnis erhalten hat. In diesem Falle wurde der vom Datenzentrum ubermittelte neue Schlussel in der Fran- 
kiermaschine nicht abgespeichert und die Frankiermaschine verschlusselt daher mit dem alten Schlussel. Dies 

w gibt die Moglichkeit, die letzte Transaktion zu anullieren oder zu komgieren und damit Schaden fur den Be- 
nutzer oder das Datenzentrum zu vermeiden. 

Das FluRdiagramm gemaR den Figuren 3a und 3b zeigt das Wertanderungs- und Nachladeverfahren fur 
den Fall, daft die Kommunikation zwischen der Frankiermaschine und dem Datenzentrum automatisch uber 
Modem erfolgt. Da die Schritte des Verfahrens im wesentlichen die gleichen sind wie bei dem Verfahren gema& 

15 den Figuren 2a und 2b sind die einzelnen Schritte auch mit den gleichen Bezugsziffern vermehrt um die Zahl 
20 versehen. 

Wie bei dem anhand der Figuren 2a und 2b beschriebenen Verfahren gibt der Benutzer der Frankierma- 
schine nach dem Einschalten derselben die Portoauf rufnummer oder Identitatsnummer PAN ein und bestatigt 
diese Eingabe durch die Betatigung der Sondertaste 52. Es wird nun der abgespeicherte Vorgabewert ange- 

20 zeigt. Entweder bestatigt der Benutzer diesen Wert durch die Betatigung der Sondertaste 52 oder er uber- 
schreibt ihn durch einen neuen Vorgabewert, der ebenfalls durch die Betatigung der Sondertaste 52 bestatigt 
wird. Alle weiteren Schritte laufen nun automatisch oh ne Zutun des Benutzers der Frankiermaschine zwischen 
der Frankiermaschine und dem Datenzentrum ab und zwar in der gleichen Weise, wie dies bei dem anhand 
der Figuren 2a und 2b beschriebenen Voice-Verfahren erlautert wurde. Der einzige Unterschied besteht darin, 

25 dak beim Modem-Verfahren zwischen der Frankiermaschine und dem Datenzentrum nur die Krypto- 
Meidungen, d.h. die verschlusselten Meldungen und nicht die aus diesen gewonnenen verkurzten Codezahlen 
ausgetauscht werden. 

Anhand der Figuren 4 bis 7 wird nun ein Verfahren zum Speichern von sicherheitsrelevanten Daten ins- 
besondere wahrend der Fernwertvorgabe beschrieben. 
30 Figur 4 zeigt in schematischer Weise die Auf teilung des Speicherplatzes in einem nicht fluchtigen Spei- 

cher, beispielsweise einem NVRAM, das in der Frankiermaschine und ggf. auch im Datenzentrum vorhanden 
ist. Der Speicher muB Platz zum Speichern zweier Datensatze, namlich Satz 1 und Satz 2 sowie zum Spei- 
chern eines Zeigers haben. Jeder Datensatz umfaBt einen variablen Satz "var", der aus beliebig vielen Byte 
bestehen kann. Ferner umfafct jeder Datensatz eine Zahlervariable n nr Updates, welche die Anzah! von An- 
as derungen des Datensatzes angibt, d.h. bei jeder Anderung oder Erneuerung der Daten eines Satzes um 1 er- 
hoht wird. Schiie&lich gehort zu einem Datensatz noch eine Prufsumme "Checksum", die unter Einbeziehung 
mindestens eines Teiis von variablen Daten des Datensatzes ermittelt wird. 

Der Zeiger "Act Pointer" kann nur zwei zulassige Werte haben, die angeben, welcher der beiden Daten- 
satze gerade als der aktuelle Datensatz betrachtet wird. Dabei werden nicht die Werte 0 und 1 abgespeichert, 
40 da bei diesen Werten kein Bitfehler erkannt werden kann. Vielmehr werden die Werte 0 x A5 bzw. 0 x 5A ver- 
wendet, wobei 0 x andeutet, daR die Werte hexadezimai notiert sind. Bei dieser in binarer Darstellung sym- 
metrisch aufgebauten Zahl konnen Bitfehler aus der Zahl selbst heraus erkannt werden. 

Das gesamte Verfahren unterteilt sich in drei Schritte: 

1. InitialisieFung des Speichers fur das Speicherverfahren; 
45 2. Abspeichern von Variablen im laufenden Betrieb und 

3. Oberprufung der Variablen auf Konsistenz und ggf. Korrektur. 

Gemaft Figur 5 umfaBt das Initialisieren des Speichers die folgenden Schritte: 

Zunachst wird der Zeiger auf Satz 1 gesetzt (Schritt S50). Das bedeutet, daB der Satz 1 als aktueller Spei- 
cher betrachtet wird, dessen Daten unveranderlich sind. Dann werden im Schritt S51 die Variablen des Da- 

50 tensatzes 2 auf ihre Anfangswerte gesetzt. Der Zahlwert nr Updates in Datensatz 2 erhalt den Wert 0 (S52). 
AnschlieBend wird die Prufsumme unter Verwendung mindestens eines Teiles der variablen Werte des Daten- 
satzes 2 erzeugt und an den hierf Or vorgesehenen Platz des Datensatzes 2 abgespeichert (S53, S54). Nun 
wird der Zeiger auf den zweiten Datensatz gesetzt, d.h. der zweite Datensatz wird zum aktuellen Datensatz 
bestimmt (S55), auf dessen Daten nun als zuverlassige und unveranderliche Daten zuruckgegriffen werden 

55 kann. AbschlieBend wird in Schritt S56 der gesamte Inhalt des Datensatzes 2 in den Datensatz 1 kopiert, so 
da& beide Datensatze identische Daten enthalten. 

Im laufenden Betrieb erfolgt eine Anderung von Daten nur im nicht aktuellen Datensatz. Gemafc Figur 6 
wird im laufenden Betrieb zunachst festgestellt, welcher Datensatz der nicht aktuelle Datensatz ist (S60). In 
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Schritt S61 werden sich andernde Daten in den nicht aktuetlen Datensatz eingeschrieben. Da sich in Schritt 
S61 die Daten des Datensatzes geandert haben, wind der Zahlwert nr updates in Schritt S62 um 1 erhdht. An- 
schlie&end wird die Prufsumme aus Daten des nicht aktuellen Speichers neu gebildet (S63) und im nicht ak- 
tuellen Datensatz gespeichert (S64). Nun wird derZeigerauf den Datensatz gerichtet in dem soeben die Daten 

5 geandert wurden, so dad dieser Satz nun der aktueile Datensatz ist (S65). Abschlie&end werden die gesamten 
Daten des nunmehr aktuellen Datensatzes in den anderen, nicht aktuellen Datensatz kopiert (S66). Beide Da- 
ten sat ze enthalten wiederum die identischen Daten. 

Beim Einschalten der Frankiermaschine und vor dem Aufrufen der Fernwertvorgabe muB uberpruft wer- 
den, ob eine vorangegangene Transaktion beispielsweise durch ein Spannungsabfall unterbrochen wurde und 

10 daher Operationen erforderlich sind, um Inkonsistenzen in den abgespeicherten Daten zu be he ben. 
Fur die Prufung werden folgende Grundvoraussetzungen gemacht: 

1. Der Zeiger Act Pointer muB einen zulassigen Wert haben. Wie bereits oben erlautert wurde, sind nur 
zwei Werte erlaubt, wobei solche Werte gewahlt werden, in denen aus dem Wert selbst heraus Bitfehler 
erkannt werden konnen. 

15 2. Der aktueile durch den Zeiger bezeichnete Satz mu& eine gultige Prufsumme haben. 

Ist mindestens eine der vorstehend genannten Voraussetzungen nicht erf Gilt, so liegt ein fataler Fehler vor 
. und die Frankiermaschine geht in den Service Modus. 

Zur Konsistenzprufung werden folgende Schritte durchgefuhrt, die anhand der Figur 7 erlautert werden 
sollen. 

20 Zunachst wird in Schritt S70 gepruft, ob der Wert des Zeigers zulassig ist. In Schritt S71 wird gepruft, ob 

die Prufsumme des aktuellen durch den Zeiger bezeichneten Datensatzes gultig ist Ist einer der beiden Schrit- 
te nicht erf ullt, so schaltet die Frankiermaschine, wie oben bereits erwahnt, in den Service Modus. 

Haben die Prufungen in den Schritten S70 und S71 dagegen zu einem posith/en Ergebnis gefuhrt, wird 
in Schritt S72 die Gultigkeitder Prufsumme des nicht aktuellen Speichers uberpruft Falltdiese Prufung negatrv 

25 aus, d.h. ist die Prufsumme nicht gultig, so ist davon auszugehen, da& die Datenspeicherung oder die Daten- 
spiegelung unterbrochen wurden. Zur Korrektur dieses Fehlers wird die Spiegelung wiederhott, d.h. alle Daten 
des aktuellen Datensatzes werden in den nicht aktuellen Datensatz kopiert (S73). Hat sich die Prufsumme 
dagegen als gultig erwiesen, wird in S74 gepruft, ob die Prufsumme n der beiden Datensatze und dam it auch 
ihre Daten gleich sind. Ist dies der Fall, ist die Prufung beendet. Sind dagegen beide Prufsummen zwar gultig, 

30 aber ungleich, so ist der Datensicherungsvorgang vor der Spiegelung unterbrochen worden. In diesem Faite 
wird der Datensatz, dessen Zahlwert nr Updates gro&er ist als der Zahlwert des anderen, als aktueller Satz 
gewahlt Seine Daten werden in den anderen Datensatz kopiert (S75). 

Bei einer abgewandelten Ausfuhrungsform kann die Frankiermaschine sowohl fur das Voice- Verfahern als 
auch fur das Modemverfahren eingerichtet sein. Mittels einer Wahltaste 58 (Fig. 1) an der Frankiermaschine 

35 kann der Benutzer die Art des Kommunikationsverfahrens mit dem Datenzentrum wahlen. 



Patentanspruche 

40 1. Verfahren zum Abstimmen des Datenbestandes in der einen Guthabenspeicher (26) fur ein Portogutha- 
ben umfassenden Datenverarbeitungseinrichtung (22) einer elektronischen Frankiermaschine (12) und 
dereinenAbrechnungsspeicher(46)furdie Frankiermaschine umfassenden Abrechnungseinrichtung (42) 
eines Datenzentrums (18), dadurch gekennzeichnet, dad 

a) an der Frankiermaschine (12) ein Wertanderungsmodus eingestellt wird, 
45 b) daR in einer ersten den Austausch von Codezahlen umfassenden Transaktion zwischen der Fran- 

kiermaschine (12) und dem Datenzentrum (18) ein in die Frankiermaschine (12) eingegebener Vorga- 
bewert an das Datenzentrum (18) ubermittelt und in einem jeweiligen Vorgabewertspeicher (28; 45) 
der Frankiermaschine (12) und des Datenzentrums (18) gespeichert wird, 
c) daft ein Nachlademodus eingestellt wird und 
50 d) da& in einer zweiten den Austausch von Codezahlen zwischen der Frankiermaschine (12) und dem 

Datenzentrum (18) umfassenden Transaktion der im jeweiligen Vorgabewertspeicher (28) gespeicher- 
te Vorgabewert zu dem im Guthabenspeicher (26) der Frankiermaschine (12) und dem im Abrech- 
nungsspeicher (46) des Datenzentrums gespeicherten Wert addiert wird. 

55 2. Verfahren zum Abstimmen des Datenbestandes in der einen Guthabenspeicher (26) fur ein Portogutha- 
ben umfassenden Datenverarbeitungseinrichtung (22) einer elektronischen Frankiermaschine (12) und 
dereinenAbrechnungsspeicher(46)furdie Frankiermaschine umfassenden Abrechnungseinrichtung (42) 
eines Datenzentrums (18), dadurch gekennzeichnet, dad 
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a) an der Frankieimaschine (12) ein Wert3nderungsmodus eingestellt wird, 

b) daft in einer ersten den Austausch von verschlusselten Meldungen (Krypto-Meldungen) umfassen- 
den Transaktion zwischen der Frankiermaschine (12) und dem Datenzentrum (18) ein in die Frankier- 
maschine (12) eingegebener Vorgabewert an das Datenzentrum (18) ubermittelt und in einem jewei- 
ligen Vorgabewertspeicher (28; 45) der Frankieimaschine (12) und des Datenzentrums (18) gespei- 
chert wind, 

c) dad ein Nachlademodus eingestellt wird und 

d) daft in einer zweiten den Austausch von Krypto-Meldungen zwischen der Frankienmaschine (12) und 
dem Datenzentrum (1 8) umfassenden Transaktion der im jeweiligen Vorgabewertspeicher (28) gespei- 

' cherte Vorgabewert zu dem im Guthabenspeicher (26) der Frankiermaschine (12) und dem im Abrech- 
nungsspeicher (46) des Datenzentrums gespeicherten Wert addiert wird. 

Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daft eine die Frankiermaschine (12) kenn- 
zeichnende Identitatsnummer in die Frankiermaschine (12) eingegeben wird und daft wahrend der ersten 
Transaktion in der Frankiermaschine (12) unter Verwendung der Identitatsnummer, des eingegebenen 
^Vorgabewertes und einer Zusatzinformation mittels eines Schlussels (K1) eine erste Codezahl gebildet 
wird, die Identitatsnummer, der gewunschte Vorgabewert und die Zusatzinformation zusammen mit der 
ersten Codezahl an das Datenzentrum (1 8) ubermittelt werden, die erste Codezahl im Datenzentrum (1 8) 
verifiziert und der gewunschte Vorgabewert im Vorgabewertspeicher des Datenzentrums (18) gespei- 
chertwird, im Datenzentrum (18) unterVerwendung der Identitatsnummer und der Zusatzinformation mit- 
tels eines Schlussels (K2) eine zweite Codezahl gebildet und an die Frankiermaschine (12) ubermittelt 
wird und die zweite Codezahl in der Frankiermaschine (12) verifiziert wird, worauf bei erfolgreicher Veri- 
f izierung der zweiten Codezahl der gewunschte Vorgabewert in dem Vorgabewertspeicher (28) der Fran- 
kiermaschine (12) gespeichert wird. 

Verfahren nach einem der Anspruche 1 bis 3, dadurch gekennzeichnet, daft wahrend der zweiten Trans- 
aktion in der Frankiermaschine (12) unterVerwendung der Identitatsnummer und einer Zusatzinformation 
mittels eines Schlussels (K2) eine dritte Codezahl gebildet und an das Datenzentrum ubermittelt wird, 
die dritte Codezahl im Datenzentrum (18) verifiziert wird und bei erfolgreicher Verifizierung der im Vor- 
gabewertspeicher (45) des Datenzentrums (18) gespeicherte Vorgabewert zu dem im Abrechnungsspei- 
cher (46) des Datenzentrums (18) gespeicherten Wert addiert wird, im Datenzentrum (18) unterVerwen- 
dung der Identitatsnummer und der Zusatzinformation mittels eines Schlussels (K3) eine vierte Codezahl 
gebildet und an die Frankiermaschine (12) ubermittelt wird, und die vierte Codezahl in der Frankierma- 
schine verifiziert wird, worauf nach erfolgreicher Verifizierung der in dem Vorgabewertspeicher (28) der 
Frankiermaschine gespeicherte Vorgabewert zu dem im Guthabenspeicher (26) der Frankiermaschine 
(12) gespeicherten Wert addiert wird. 

Verfahren nach einem der Anspruche 1 bis 4, dadurch gekonnzeichnet, daft ein zur Ermittlung der Co- 
dezahlen verwendeter Schlussel nach jeder abgeschlossenen Transaktion geandert wird. 

Verfahren nach einem der Anspruche 1 bis 5, dadurch gekennzeichnet, daft wahrend jeder Transaktion 
die in der Frankiermaschine (12) gebildete Codezahl mittels eines nach Abschluft der vorhergehenden 
Transaktion vorhandenen Schlussels (K1) berech net wird, daft die im Datenzentrum gebildete Codezahl 
mittels des gleichen Schlussels (K2) berechnet wird, und daft der neue Schlussel (K2) im Datenzentrum 
gespeichert, der Frankiermaschine als Teil dervom Datenzentrum (18) ubermittelten Codezahl mitgeteilt 
und nach Verifizierung dieser Codezahl in der Frankiermaschine (12) gespeichert wird. 

Verfahren nach Anspruch 6, dadurch gekennzeichnet, daft in dem Fall, in dem eine von der Frankierma- 
schine (12) an das Datenzentrum (18) ubermittelte Codezahl im Datenzentrum (18) nicht verifiziert wer- 
den kann, die Verifizierung mittels des vor der letzten Schlusselanderung verwendeten Schlussels (K1) 
wieder holt wird,' und daft bei erfolgreicher Verifizierung der Codezahl mit diesem Schlussel (K1 ) die letzte 
Transaktion korrigiert wird. 

Verfahren nach einem der Anspruche 3 bis 7, dadurch gekonnzeichnet, daft nach Eingabe der Identi- 
tatsnummer die Art des KommunikationsveVfahrens zwischen der Frankiermaschine und der Datenzen- 
trale durch die Betatigung mindestens einer Wahltaste (58) ausgewahlt wird. 

Elektronische Frankiermaschine, umfassend eine elektronische Datenverarbeitungseinrichtung (22) mit 
einem Guthabenspeicher (26) zum Speichern eines Portoguthabens und einem Vorgabewertspeicher 
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(28) zur Speicherung eines Vorgabewertes, urn den das Portoguthaben verandert werden kann, und mit 
der Datenverarbeitungseinrichtung (22) verbunden eine Druckeinrichtung (38) zum Drucken von Porto- 
werten, eine Datenanzeigeeinrichtung (36), eine Eingabeeinrichtung (34) zur Eingabe von auszudrucken- 
den Portowerten und eine Einrichtung zum Einstellen eines Guthabennachlademodus, in dem nach Ein- 
gabe und Verifizierung einer Nachladeschlusseizahi der im Vorgabewertspeicher (28) gespeicherte Vor- 
gabewert zu dem Portoguthaben addiert wird, gekennzeichnet durch Mittel (52) zur Einstellung eines 
Wertanderungsmodus, in dem nach Eingabe und Verifizierung einer Wertanderungsschlusselzahl der 
Vorgabewert im Vorgabewertspeicher (28) durch einen in die Frankiermaschine (12) eingegebenen ge- 
anderten Vorgabewert ersetzbar ist. 

10. Frankiermaschine nach Anspruch 9 t dadurch gekennzeichnet, daft die Datenverarbeitungseinrichtung 
(22) eine kryptrographische Einrichtung (30) zur Erzeugung und/oder Verifizierung von Schlusselzahlen 
hat 

11. Frankiermaschine nach Anspruch 10 t dadurch gekennzeichnet, daft die kryptographische Einrichtung 
(30) einen Speicher (32) fur mindestens einen Schlussel (K1, K2...) hat. 

12. Frankiermaschine nach einem der Anspruche 9 bis 11, dadurch gekennzeichnet, daft der Wertande- 
rungsmodus durch Eingabe einer die Frankiermaschine (12) kennzeichnenden Identitatsnummer und die 
Betatigung einer ersten Sondertaste (52) einstellbar ist. 

13. Frankiermaschine nach einem der Anspruche 9 bis 12, dadurch gekennzeichnet, daft sie durch Betati- 
gung einer zweiten Sondertaste (54) aus dem Wertanderungsmodus in einen Frankiermodus umstellbar 
ist. 

25 14. Frankiermaschine nach einem der Anspruche 9 bis 13, dadurch gekennzeichnet, daft der Nachlademo- 
dus nach Einstellen des Wertanderungsmodus durch Betatigung einer dritten Sondertaste (56) einstellbar 
ist. 

15. Frankiermaschine nach einem der Anspruche 9 bis 13, dadurch gekennzeichnet, daft der Nachlademo- 
30 dus nach Einstellen des Wertanderungsmodus durch Betatigung der ersten Sondertaste (52) einstellbar 

ist. 

16. Frankiermaschine nach einem der Anspruche 9 bis 1 5, gekennzeichnet durch mindestens eine Wahltaste 
(58) zur Auswahl des Kommunikationsverfahrens zwischen der Frankiermaschine und dem Datenzen- 

35 trum. 

17. Datenzentrum (18) umfassend eine Kommunikationseinrichtung (16) zum Datenaustausch mit minde- 
stens einer Benutzerstation (10), die mindestens eine Frankiermaschine (12) hat, und eine Datenverar- 
beitungseinrichtung (20) mit einer Dateneingabeeinheit (40), einer Recheneinheit (44) und einem Abrech- 
nungsspeicher fur jede Frankiermaschine (46), in dem die in der Frankiermaschine (12) geladenen Gut- 
habenbetrage uber einen vorgegebenen Zeitraum aufsummiert werden, gekennzeichnet durch einen 
Vorgabewertspeicher (45) fur jede Frankiermaschine (12) zur Speicherung eines der Frankiermaschine 
(12) zugeordneten Vorgabewertes (VGW), urn den ein in der Frankiermaschine (12) gespeicherter Gut- 
habenwert geandert werden soil, wobei die Datenverarbeitungseinrichtung (20) so programmierbar ist, 
daft sie entsprechend ersten von der Benutzerstation (10) uber die Kommunikationseinrichtung (16) er- 
haltenen Daten den Vorgabewert im Vorgabewertspeicher (45) andert und daft sie entsprechend zweiten 
von der Benutzerstation (10) uber die Kommunikationseinrichtung (16) erhaltenen Daten den im Vorga- 
bewertspeicher (45) gespeicherten Wert zu dem im Abrechnungsspeicher (46) gespeicherten Wert ad- 
diert 



40 
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18. Datenzentrum nach Anspruch 1 7, dadurch gekennzeichnet, daft die Kommunikationseinrichtung ein Mo- 
dem umfaftt, das mit einem Modem der Benutzerstation (10) verbindbar ist. 



19. Datenzentrum nach Anspruch 17, dadurch gekennzeichnet, daft die Kommunikationseinrichtung einen 
Fernsprechapparat (16) umfaftt, der mit einem Fernsprechapparat (14) der Benutzerstation (10) verbind- 

55 . bar ist. 

20. Datenzentrum mach einem der Anspruche 17 bis 19, dadurch gekennzeichnet, daft es eine kryptograp- 
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hische Einrichtung (48) zur Erzeiigung und/oder Verif izierung von Schlusseizahlen hat "~' 

21. Datenzentrum mach Anspruch 20, dadurch gekennzeichnet, daH die kryptographische Einrichtung eine 
Einheit (50) zur Erzeugung und Speicherung von Schlusseln hat 

22. Verfahren zum gesicherteh Speichern von veranderlichen Daten durch Erzeugen und Speichern zweier 
ubereinstimmender Datensatze, dadurch gekennzeichnet, daa mittels eines Zeigers ein erster Daten- 
satz als aktueller unveranderlicher Datensatz bestimmt wird, dessen Daten fur eine Abf rage zur Verf u- 
gung stehen, daa bei eiher Anderung von Daten diese Anderung in dem nicht aktuellen zweiten Datensatz 
erfolgt, daa anschlieaend mittels des Zeigeris der zweite Datensatz zum aktuellen Datensatz bestimmt 
wird und daa die Daten aus dem aktuellen zweiten Datensatz in den nicht aktuellen ersten Datensatz 
kopiert werden. 

23. Verfahren nach Anspruch 22, dadurch gekennzelchnet, daa eine Variable der veranderlichen Daten je- 
des Datensatzes ein fur die Anzahl der vorgenommenen Anderungen reprasentativer Zahlwert ist 

24. Verfahren nach Anspruch 22 oder 23 f dadurch gekennzeichnet, daa eine Variable der veranderlichen 
Daten jedes Datensatzes eine aus mindestens einem Teil der veranderlichen Daten errechnete Prufsum- 
meist 

25. Verfahren nach einem der Anspruche 22 bis 24, dadurch gekennzeichnet, daa der Wert des Zeigers auf 
Konsistenz und ausgewahlte Daten der Datensatze auf Konsistenz und Gleichkeit gepruft und gegebe- 
nenfalls korrigiert werden. 
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